Se han detectado 2 vulnerabilidades críticas de seguridad en PHP, considerado la columna vertebral de internet. Se han descubierto dos vulnerabilidades críticas más en el lenguaje de programación PHP, utilizado en el 70 % de los sitios web, y el equipo de desarrollo de PHP informó, en un anuncio realizado el 20 de octubre, de que se habían publicado parches urgentes que corrigen las vulnerabilidades. El equipo publicó los parches urgentes.
Las vulnerabilidades obtuvieron una puntuación de 9,2 sobre 10 en el sistema CVSS v4.0, mientras que la empresa de ciberseguridad watchTowr calificó el peligro con un 10 sobre 10. Los detalles técnicos y los rangos de versiones afectadas aún no se han revelado por completo. Los investigadores descubrieron las vulnerabilidades utilizando el modelo GPT-5.6 Sol de OpenAI; Wiz, bajo el paraguas de Google, también verificó el hallazgo de forma independiente con sus propias herramientas de inteligencia artificial.
Se afirma que las vulnerabilidades identificadas como CVE-2026-109618 y CVE-2026-109619 permiten la ejecución remota de código, y en un video de la herramienta de explotación denominada “PHP2Shell” se sostiene que se logró ejecutar código en las siguientes plataformas. Las plataformas mencionadas son las siguientes:
- WordPress 7.1.3
- MediaWiki 1.46.2
- phpBB 3.3.17
- Magento 2.4.9
- Joomla 6.2.0
- Laravel 13.36.0
- Symfony 8.1.9
- Drupal 11.4.10
- WHMCS 9.0.9
watchTowr anunció que reprodujo al menos una de las vulnerabilidades en un entorno de laboratorio. La empresa de seguridad Sansec, por su parte, advirtió de que la primera ola de ataques masivos podría comenzar en un plazo de 15 minutos tras la publicación de los parches.
Término: parche
Un parche es una actualización que corrige un error o una vulnerabilidad de seguridad en un software.